Исследователи обнаружили серьезные уязвимости безопасности в трекерах Tile, согласно отчету Wired. Эти уязвимости могут позволить как самой компании, так и технически подкованным сталкерам отслеживать местоположение пользователя. Проблема безопасности также может позволить злоумышленнику ложно обвинить владельца Tile в преследовании, поскольку ошибка может создать видимость, будто конкретный тег постоянно находится вблизи тега другого человека.

Проблема связана с тем, как теги Tile передают данные во время использования. Теги Tile передают гораздо больше данных, чем другие трекеры, включая статический MAC-адрес и вращающийся ID. Согласно сообщениям, ничто из этого не зашифровано. Вращающийся ID постоянно меняется, а MAC-адрес — нет.

Исследователи полагают, что вся эта информация хранится в открытом виде, что облегчает ее получение хакерами. Теоретически это также дало бы самому Tile возможность отслеживать своих пользователей, хотя компания утверждает, что у нее нет такой возможности.

Ситуация усугубляется. Любой, у кого есть радиочастотный сканер, предположительно, может перехватить всю эту информацию во время передачи, создавая еще одну потенциальную лазейку в безопасности. Кроме того, эта проблема может быть не решена, даже если Tile решит прекратить передачу MAC-адреса. Это связано с тем, что компания генерирует свой вращающийся ID таким образом, что будущие коды могут быть надежно предсказаны на основе предыдущих.

«Злоумышленнику достаточно записать одно сообщение от устройства», — сказал один из исследователей, стоящих за этим открытием, добавив, что одно записанное сообщение «идентифицирует его на всю оставшуюся жизнь». Исследователь отметил, что это создает риск системного наблюдения.

Исследователи безопасности, связанные с Технологическим институтом Джорджии, связались с материнской компанией Tile, Life360, в ноябре прошлого года, чтобы сообщить о своих находках. Wired сообщает, что компания прекратила общение с исследователями в феврале. Компания заявила, что внесла ряд улучшений в свою безопасность, но не уточнила деталей.